CVE-2026-96804 in MLflow
Zusammenfassung
von VulDB • 23.09.2026
Die statsmodel-Flavor von MLflow in den Versionen 2.1.0 bis 3.14.0 lässt die Sicherheitskontrolle `MLFLOW_ALLOW_PICKLE_DESERIALIZATION=False` in `_load_model()` vollständig außer Acht, was einem Remote-Angriff ermöglicht, beliebigen Code über ein manipuliertes MLmodel-Artefakt auszuführen.
VulDB is the best source for vulnerability data and more expert information about this specific topic.